CN116506854A - 一种北斗短报文的加密通信系统和方法 - Google Patents

Abstract

本发明公开了一种北斗短报文的加密通信系统和方法，涉及北斗短报文安全技术领域。为了解决北斗短报文通信易受中间人攻击，通信数据容易遭受中间环节恶意篡改，通信双方的通信密钥同步、更新困难，通信密钥随机性和强度差等问题，本北斗短报文的加密通信系统和方法，由密钥管理中心和北斗短报文终端组成，采用二层密钥管理体系，用非对称数字签名实现了北斗短报文终端与密钥管理中心间、北斗短报文终端与北斗短报文终端间的双向身份认证，用非对称加密实现通信加密密钥自动更新和同步，用对称加密和消息认证码实现短报文通信内容的加密和防篡改，大大增强了北斗短报文通信的安全性。

Description

一种北斗短报文的加密通信系统和方法

技术领域

本发明涉及北斗短报文安全技术领域，具体为一种北斗短报文的加密通信系统和方法。

背景技术

北斗短报文是一种基于北斗卫星的天基通信方式，不但具备了卫星通信的全天候、全域广覆盖、可靠性高等优点，而且还具有双向通信功能，北斗短报文终端之间可以互相发送不超过2000字节的信息。

公开号为CN212909532U的中国专利公开了一种具有数据安全通信功能的北斗短报文收发设备，主要通过密钥管理设备给本实用新型所述的设备输入主密钥，可实现“一次一密”，密钥管理设备由专人保管，密钥管理设备通过密钥管理设备接口与加解密模块通信，完成主密钥输入，上述专利虽然解决了数据加密的问题，但是在实际操作中还存在以下问题：

1.北斗短报文终端与系统没有双向身份认证，非法终端可以随意加入系统，并给合法北斗短报文终端发送欺诈信息。

2.北斗短报文终端间的加密密钥靠人工输入，加密密钥的强度和随机性无法得到保证，严重威胁通信安全。

3.北斗短报文终端间的加密密钥同步安全性无法保证，如果北斗短报文终端间距离相隔很远，很难安全的给对方传输加密密钥。

4.北斗短报文终端间的加密密钥由人工管理，无法杜绝加密密钥被长期使用，大大降低加密密钥的安全性。

5.北斗短报文终端间的加密信息互传，没有采取防篡改和抗重放措施，恶意第三方很容易篡改和重放密文，欺骗合法通信双方。

发明内容

本发明的目的在于提供一种北斗短报文的加密通信系统和方法，解决北斗短报文通信易受中间人攻击，通信数据容易遭受中间环节恶意篡改，通信双方的通信密钥同步、更新困难，通信密钥随机性和强度差等问题，本北斗短报文的加密通信系统，由密钥管理中心和北斗短报文终端组成，采用二层密钥管理体系，用非对称数字签名实现了北斗短报文终端与密钥管理中心间、北斗短报文终端与北斗短报文终端间的双向身份认证，用非对称加密实现通信加密密钥自动更新和同步，用对称加密和消息认证码实现短报文通信内容的加密和防篡改，大大增强了北斗短报文通信的安全性，可以解决现有技术中的问题。

为实现上述目的，本发明提供如下技术方案：

一种北斗短报文的加密通信系统，包括：

密钥管理中心，通过互联网接口接入北斗系统，用于：

管理北斗短报文终端与终端用户归属关系；

管理北斗短报文终端与北斗短报文终端公钥的绑定关系；

参与北斗短报文终端注册流程，实现北斗短报文终端身份的认证；

实现对称通信密钥的生命周期管理；

在北斗短报文终端注册流程中实现对称通信密钥的同步和更新；

北斗短报文终端通过空中接口接入北斗系统，用于：

实现北斗短报文终端间的北斗短报文加密通信；

实现北斗短报文终端对密钥管理中心的身份认证；

实现对称通信密钥的本地管理；

使用对称通信密钥实现北斗短报文内容的加解密。

一种北斗短报文终端与密钥管理中心建立关联的方法，基于一种北斗短报文的加密通信系统实现：

密钥管理中心提供人机交互接口，建立用户与北斗短报文终端的绑定关系；

密钥管理中心管理终端和北斗短报文终端公钥的绑定关联；

密钥管理中心通过线缆连接的方式实现与北斗短报文终端间的公钥交换；

密钥管理中心建立与北斗短报文终端的管理关系。

优选的，一种北斗短报文终端与密钥管理中心建立关联的方法，其特征在于：

密钥管理中心自动调用安全随机数发生器，生成系统唯一的通信密钥、消息认证密钥和版本号；

密钥管理中心根据配置的时间周期自动更新系统唯一的通信密钥、消息认证密钥和版本号。

优选的，密钥管理中心与北斗短报文终端间认证和密钥同步的方法，包括：

北斗短报文终端主动触发认证请求，通过北斗短报文发送给密钥管理中心；

北斗短报文终端在认证请求消息中，携带北斗短报文终端ID、通信密钥版本号和数字签名；

密钥管理中心使用北斗短报文终端公钥对收到的北斗短报文终端认证请求消息进行验签；

若验签不通过则认证失败；

密钥管理中心使用北斗短报文终端公钥对通信密钥、消息认证密钥和版本号进行加密；

密钥管理中心使用自己的私钥对已加密的通信密钥、消息认证密钥和版本号，以及时间戳进行数字签名和打包；

密钥管理中心通过北斗短报文将打包的消息发送给对应北斗短报文终端；

北斗短报文终端收到密钥管理中心的打包消息后，先验证时间戳是否在合理范围，如果不在范围则认证失败，否则用密钥管理中心公钥验证签名，验证不通过则认证失败，如果验证通过，则用自己的私钥解密获取通信密钥、消息认证密钥和版本号。

优选的，北斗短报文终端间短报文加解密和防篡改验证的方法，包括：

北斗短报文终端在给其他北斗短报文终端发出北斗短报文前，先用通信密钥进行加密，并把密文与版本号连接在一起；

北斗短报文终端使用消息认证密钥对密文和版本号进行HMAC运算得到消息认证码；

北斗短报文终端把版本号、短报文密文和消息认证码打包发给目标北斗短报文终端；

其中，目标北斗短报文终端接收到打包消息后，先核对版本号，若版本不一致则先完成验证和密钥更新，若版本一致，则用消息认证密钥对密文和版本号进行HMAC运算得到消息认证码，之后对比对方发来的消息认证码是否与自己计算的消息认证码一致；若不一致则表明消息在传输过程中被非法篡改，如果一致则进行后续流程；

目标北斗短报文终端用通信密钥解密出明文，完成加密通信过程。

与现有技术相比，本发明的有益效果如下：

1.本发明提供的一种北斗短报文的加密通信系统和方法，为北斗短报文通信系统增加了双向认证功能，可以有效避免恶意终端不经允许加入系统；

2.本发明提供的一种北斗短报文的加密通信系统和方法，实现了通信密钥的自动更新和同步，通信密钥强度和随机性得到有效保证；

3.本发明提供的一种北斗短报文的加密通信系统和方法，通信密钥的传输可以通过北斗系统短报文本身完成，可以全球送达。且密钥传输过程中使用公钥加密和私钥签名，可以保证通信密钥的机密性和防篡改性；

4.本发明提供的一种北斗短报文的加密通信系统和方法，通信密钥由系统使用安全随机数发生器定期自动更新，大大提高了通信密钥的随机性和安全性；

5.本发明提供的一种北斗短报文的加密通信系统和方法，短报文内容除了进行加密外，还增加了防篡改和抗重放措施，能有效提升短报文通信的安全性。

附图说明

图1为本发明的密钥管理体系图；

图2为本发明的系统架构图；

图3为本发明的北斗短报文终端注册流程图；

图4为本发明的认证流程图；

图5为本发明的通信加密流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了解决现有技术中，在北斗短报文加密通信中没有进行双向认证，从而无法避免恶意终端入侵，以及通信密钥无法自动更新和同步，从而导致密钥强度和随机性无法进行有效保证的问题，请参阅图1和图2，本实施例提供以下技术方案：

一种北斗短报文的加密通信系统，包括：密钥管理中心，通过互联网接口接入北斗系统，用于：管理北斗短报文终端与终端用户归属关系；管理北斗短报文终端与北斗短报文终端公钥的绑定关系；参与北斗短报文终端注册流程，实现北斗短报文终端身份的认证；实现对称通信密钥的生命周期管理；在北斗短报文终端注册流程中实现对称通信密钥的同步和更新；北斗短报文终端通过空中接口接入北斗系统，用于：实现北斗短报文终端间的北斗短报文加密通信；实现北斗短报文终端对密钥管理中心的身份认证；实现对称通信密钥的本地管理，使用对称通信密钥实现北斗短报文内容的加解密。

一种北斗短报文终端与密钥管理中心建立关联的方法，基于一种北斗短报文的加密通信系统实现：密钥管理中心提供人机交互接口，建立用户与北斗短报文终端的绑定关系；密钥管理中心管理终端和北斗短报文终端公钥的绑定关联；密钥管理中心通过线缆连接的方式实现与北斗短报文终端间的公钥交换；密钥管理中心建立与北斗短报文终端的管理关系。

一种北斗短报文终端与密钥管理中心建立关联的方法，其特征在于：密钥管理中心自动调用安全随机数发生器，生成系统唯一的通信密钥、消息认证密钥和版本号；密钥管理中心根据配置的时间周期自动更新系统唯一的通信密钥、消息认证密钥和版本号。

密钥管理中心与北斗短报文终端间认证和密钥同步的方法，包括：北斗短报文终端主动触发认证请求，通过北斗短报文发送给密钥管理中心；北斗短报文终端在认证请求消息中，携带北斗短报文终端ID、通信密钥版本号和数字签名；密钥管理中心使用北斗短报文终端公钥对收到的北斗短报文终端认证请求消息进行验签；若验签不通过则认证失败；密钥管理中心使用北斗短报文终端公钥对通信密钥、消息认证密钥和版本号进行加密；密钥管理中心使用自己的私钥对已加密的通信密钥、消息认证密钥和版本号，以及时间戳进行数字签名和打包；密钥管理中心通过北斗短报文将打包的消息发送给对应北斗短报文终端；北斗短报文终端收到密钥管理中心的打包消息后，先验证时间戳是否在合理范围，如果不在范围则认证失败，否则用密钥管理中心公钥验证签名，验证不通过则认证失败，如果验证通过，则用自己的私钥解密获取通信密钥、消息认证密钥和版本号。

具体的，本发明涉及三个通信实体：北斗短报文终端A、北斗短报文终端B、密钥管理中心(Key Management Center)，在密钥管理中心的配合下，实现北斗短报文终端A和北斗短报文终端A终端B间的北斗短报文加密通信，解决方案的具体步骤可以划分为三个阶段：注册阶段、认证阶段和加密通信阶段。

注册阶段在北斗短报文终端与密钥管理中心间进行，主要完成北斗短报文终端公私密钥对生成、北斗短报文终端与密钥管理中心间的公钥交换。正常情况下，每个北斗短报文终端在其寿命周期的开始时完成一次注册即可。在密钥管理中心的公私密钥对和北斗短报文终端的公私密钥对出于安全原因需要更换，注册才需要再次进行；

认证阶段在北斗短报文终端与密钥管理中心间进行，主要完成北斗短报文终端的身份认证和短报文通信密钥的下发。此阶段的前提条件是北斗短报文终端已经完成过注册；

加密通信阶段在北斗短报文终端A和北斗短报文终端B间完成，前提条件是所有参与加密通信的北斗短报文终端已经完成注册阶段和认证阶段；

并且，基于密钥管理中心提供的功能，北斗短报文终端间可以实现基于强双向身份认证的端到端加密通信。本实施例的非对称算法(加密和签名验签)采用椭圆曲线算法SM2，对称算法采用SM4，密钥散列消息认证码算法采用HMAC-SM3(先用密钥按位与数据异或，然后对异或结果计算SM3摘要)，消息摘要算法采用SM3。SM2/SM3/SM4为中国国家密码管理局设计并公开发布的算法，可以在中国国家密码管理局官网下载算法详细设计说明文档，在https://www.openssl.org/下载源代码。

为了解决现有技术中，通信双方接入系统无身份认证，易受中间人攻击，无法有效保证通信密钥的机密性和防篡改性同时无法使用安全随机数发生器定期自动更新，也没有对短报文内容进行防篡改和抗重放措施，从而导致安全性降低的问题，请参考图3-图5，本实施例提供以下技术方案：

北斗短报文终端间短报文加解密和防篡改验证的方法，包括：北斗短报文终端在给其他北斗短报文终端发出北斗短报文前，先用通信密钥进行加密，并把密文与版本号连接在一起；北斗短报文终端使用消息认证密钥对密文和版本号进行HMAC运算得到消息认证码；北斗短报文终端把版本号、短报文密文和消息认证码打包发给目标北斗短报文终端；其中，目标北斗短报文终端接收到打包消息后，先核对版本号，若版本不一致则先完成验证和密钥更新，若版本一致，则用消息认证密钥对密文和版本号进行HMAC运算得到消息认证码，之后对比对方发来的消息认证码是否与自己计算的消息认证码一致；若不一致则表明消息在传输过程中被非法篡改，如果一致则进行后续流程；目标北斗短报文终端用通信密钥解密出明文，完成加密通信过程。

具体的，本实施例所实现的注册流程如下(见图3)：

1.北斗短报文终端通过USB电缆与密钥管理中心服务器相连；

2.使用密钥管理中心人机接口通过USB电缆向终端发送指令{1，密钥管理中心公钥}；

3.北斗短报文终端生成自己的公私钥对，私钥和密钥管理中心公钥保存在自己的内部存储，公钥通过指令{2，终端ID，北斗短报文终端公钥}返回密钥管理中心；

4.密钥管理中心将终端ID、北斗短报文终端公钥以及人机交互界面输入的北斗短报文终端相关信息(如果用户姓名、住宅、单位、电话等)保存到密钥管理中心的数据库中。

本实施例所实现的认证流程如下(见图4)：

1.密钥管理中心定期采用安全随机数发生器生成新的对称密钥、消息认证密钥和密钥版本号，并保存在数据库中；

2.北斗短报文终端通电开机时，通过北斗短报文发送{3，时间戳，本地密钥版本号，数字签名}到密钥管理中心；

3.密钥管理中心收到北斗短报文终端发来的北斗短报文后，先用北斗短报文终端注册时提交的公钥验证数字签名，然后验证时间戳和密钥版本号是否在合理范围内，如果验证不通过则给北斗短报文终端返回{4，错误代码}，如果通过则用北斗短报文终端公钥加密密钥管理中心生成的对称密钥、消息认证密钥和密钥版本号，并对消息用自己的私钥进行数字签名，组包为{4，时间戳，对称密钥密文，消息认证密钥密文，密钥版本号，密钥生命周期，数字签名}通过北斗短报文返回北斗短报文终端。

4.北斗短报文终端收到密钥管理中心返回后，先用密钥管理中心公钥验证消息签名，通过后再验证时间戳是否在合理范围内，如果验证不通过则认证过程失败，如果通过就将对称密钥和消息认证密钥用自己的私钥解密后，保存到内部存储中，认证过程成功。

本实施例所实现的加密通信流程如下(见图5)：

1.北斗短报文终端A和北斗短报文终端B均完成注册和认证流程，并获得相同版本的对称密钥和消息认证密钥；

2.北斗短报文终端A需要与北斗短报文终端B进行北斗短报文通信时，先编辑好文本内容，然后点击“加密发送”按钮。内置程序使用对称密钥对文本内容进行加密，然后并用消息认证密钥对密文和密钥版本号进行HMAC运算得到密钥散列消息认证码，最后组包为{5，消息密文，密钥版本号，密钥散列消息认证码}发送给北斗短报文终端B；

3.北斗短报文终端B先用密钥版本号获得本地保存的消息认证密钥对消息进行HMAC运算得到本地计算的密钥散列消息认证码，然后和消息内的终端A发送来的密钥散列消息认证码进行对比，如果不一致，表明消息已经被人篡改。如果一致，则使用对应版本的对称密钥对消息密文进行解密，并显示给终端用户。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (5)

1.一种北斗短报文的加密通信系统，其特征在于，包括：

密钥管理中心，通过互联网接口接入北斗系统，用于：

管理北斗短报文终端与终端用户归属关系；

管理北斗短报文终端与北斗短报文终端公钥的绑定关系；

参与北斗短报文终端注册流程，实现北斗短报文终端身份的认证；

实现对称通信密钥的生命周期管理；

在北斗短报文终端注册流程中实现对称通信密钥的同步和更新；

北斗短报文终端通过空中接口接入北斗系统，用于：

实现北斗短报文终端间的北斗短报文加密通信；

实现北斗短报文终端对密钥管理中心的身份认证；

实现对称通信密钥的本地管理；

使用对称通信密钥实现北斗短报文内容的加解密。

2.一种北斗短报文终端与密钥管理中心建立关联的方法，基于权利要求1所述的一种北斗短报文的加密通信系统实现，其特征在于：

密钥管理中心提供人机交互接口，建立用户与北斗短报文终端的绑定关系；

密钥管理中心管理终端和北斗短报文终端公钥的绑定关联；

密钥管理中心通过线缆连接的方式实现与北斗短报文终端间的公钥交换；

密钥管理中心建立与北斗短报文终端的管理关系。

3.根据权利要求2所述的一种北斗短报文终端与密钥管理中心建立关联的方法，其特征在于：

密钥管理中心自动调用安全随机数发生器，生成系统唯一的通信密钥、消息认证密钥和版本号；

密钥管理中心根据配置的时间周期自动更新系统唯一的通信密钥、消息认证密钥和版本号。

4.根据权利要求2所述的一种北斗短报文终端与密钥管理中心建立关联的方法，其特征在于：密钥管理中心与北斗短报文终端间认证和密钥同步的方法，包括：

北斗短报文终端主动触发认证请求，通过北斗短报文发送给密钥管理中心；

北斗短报文终端在认证请求消息中，携带北斗短报文终端ID、通信密钥版本号和数字签名；

密钥管理中心使用北斗短报文终端公钥对收到的北斗短报文终端认证请求消息进行验签；

若验签不通过则认证失败；

密钥管理中心使用北斗短报文终端公钥对通信密钥、消息认证密钥和版本号进行加密；

密钥管理中心使用自己的私钥对已加密的通信密钥、消息认证密钥和版本号，以及时间戳进行数字签名和打包；

密钥管理中心通过北斗短报文将打包的消息发送给对应北斗短报文终端；

北斗短报文终端收到密钥管理中心的打包消息后，先验证时间戳是否在合理范围，如果不在范围则认证失败，否则用密钥管理中心公钥验证签名，验证不通过则认证失败，如果验证通过，则用自己的私钥解密获取通信密钥、消息认证密钥和版本号。

5.根据权利要求2所述的一种北斗短报文终端与密钥管理中心建立关联的方法，其特征在于：北斗短报文终端间短报文加解密和防篡改验证的方法，包括：

北斗短报文终端在给其他北斗短报文终端发出北斗短报文前，先用通信密钥进行加密，并把密文与版本号连接在一起；

北斗短报文终端使用消息认证密钥对密文和版本号进行HMAC运算得到消息认证码；

北斗短报文终端把版本号、短报文密文和消息认证码打包发给目标北斗短报文终端；

其中，目标北斗短报文终端接收到打包消息后，先核对版本号，若版本不一致则先完成验证和密钥更新，若版本一致，则用消息认证密钥对密文和版本号进行HMAC运算得到消息认证码，之后对比对方发来的消息认证码是否与自己计算的消息认证码一致；若不一致则表明消息在传输过程中被非法篡改，如果一致则进行后续流程；

目标北斗短报文终端用通信密钥解密出明文，完成加密通信过程。